Glossaire de conformité

Un événement soudain lié au travail entraînant une atteinte à l'intégrité physique, par exemple une chute, un écrasement ou une surcharge aiguë. L'employeur doit déclarer l'accident numériquement dans EASY s'il entraîne une absence au-delà du jour de l'accident, et la déclaration doit être faite au plus tard 14 jours après le premier jour d'absence. Les accidents pouvant donner droit à une indemnisation en vertu de la loi danoise sur les accidents du travail doivent également être déclarés. Le défaut de déclaration peut être sanctionné par une amende, et les accidents doivent toujours faire l'objet d'un suivi préventif dans l'évaluation des risques.

Le niveau intermédiaire de signature défini à l'article 26 d'eIDAS. Une signature électronique avancée doit être liée de manière univoque au signataire, permettre de l'identifier, avoir été créée à l'aide de données que le signataire peut utiliser sous son contrôle exclusif, et être liée au document de telle sorte que toute modification ultérieure puisse être détectée. En pratique, ces exigences sont souvent satisfaites en combinant une identification (par exemple avec MitID) avec un scellement cryptographique du document. Une AES a une valeur probante nettement supérieure à une signature simple et constitue le choix standard pour des documents tels que les contrats de travail et les contrats de sous-traitance.

Une analyse d'impact relative à la protection des données, exigée par l'article 35 du RGPD lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les personnes concernées, par exemple une surveillance systématique, un traitement à grande échelle de données sensibles ou une nouvelle technologie telle que la reconnaissance faciale. L'analyse doit décrire le traitement, évaluer sa nécessité et sa proportionnalité, recenser les risques et définir des mesures d'atténuation. Si le risque ne peut être réduit, l'autorité de protection des données doit être consultée avant le début du traitement. L'autorité danoise de protection des données a publié une liste des traitements exigeant systématiquement une AIPD.

La coopération formelle en matière de santé et sécurité au travail entre la direction et les salariés, obligatoire dans les entreprises danoises comptant 10 salariés ou plus. L'AMO se compose d'un ou plusieurs groupes de milieu de travail avec un représentant du personnel élu et un responsable désigné. Les membres doivent suivre la formation obligatoire de 3 jours sur le milieu de travail dans les 3 mois suivant leur élection. Dans les entreprises de moins de 10 salariés, la santé et sécurité au travail doit être gérée directement en coopération entre l'employeur et le personnel.

Un plan annuel qui répartit les tâches de conformité récurrentes de l'entreprise sur l'année civile afin que rien ne soit oublié ni ne s'accumule. Les points typiques comprennent l'entretien annuel sur le milieu de travail, le suivi du plan d'action de l'évaluation des risques, la révision du registre de l'article 30 et des délais de conservation, le test de la réponse aux violations de données, la révision des contrats de sous-traitance et la mise à jour du livret d'accueil du personnel. Ce calendrier transforme la conformité en une routine continue avec des responsables et des échéances clairs, plutôt qu'en un exercice annuel de dernière minute. Il constitue en outre une bonne preuve auprès des autorités de contrôle que l'entreprise travaille de manière systématique.

Les contrats types de la Commission européenne que les entreprises peuvent utiliser comme mécanisme de transfert lorsque des données à caractère personnel sont envoyées vers des pays hors de l'UE/EEE sans décision d'adéquation. Les CCT actuelles, datant de 2021, se composent de modules couvrant différentes configurations de responsables du traitement et de sous-traitants. Les clauses doivent être signées sans modification, et depuis l'arrêt Schrems II elles doivent être complétées par une évaluation de la législation du pays destinataire et, si nécessaire, par des garanties supplémentaires telles que le chiffrement. En pratique, les CCT constituent le mécanisme de transfert le plus utilisé par les PME.

L'une des six bases juridiques du RGPD pour le traitement des données à caractère personnel. Un consentement valide doit être donné librement, de manière spécifique, informée et univoque, par un acte positif, comme cocher une case non pré-cochée. La personne concernée peut retirer son consentement à tout moment, et cela doit être aussi simple que de le donner. L'entreprise doit pouvoir démontrer que le consentement a été correctement recueilli, et dans les relations de travail, le consentement est rarement approprié car le déséquilibre de pouvoir rend le caractère libre du consentement douteux.

L'accord écrit exigé par l'article 28 du RGPD entre un responsable du traitement et un sous-traitant. Il doit notamment définir l'objet et la durée du traitement, les types de données, les obligations du sous-traitant, les exigences de sécurité, les règles applicables aux sous-traitants ultérieurs, ainsi que l'assistance en cas de violation de données et de demandes d'accès. Sans contrat de sous-traitance valide, il est illégal de laisser un prestataire traiter des données à caractère personnel pour le compte de l'entreprise. L'autorité danoise de protection des données a publié un modèle standard dont de nombreuses PME s'inspirent.

Les délais qu'une entreprise fixe pour la durée pendant laquelle différents types de données à caractère personnel sont conservés avant d'être supprimés ou anonymisés. Le principe de limitation de la conservation du RGPD exige que les données ne soient pas conservées plus longtemps que nécessaire au regard de la finalité. Ces délais doivent être documentés, généralement dans le registre de l'article 30 et une politique de suppression, et effectivement appliqués en pratique. Certains délais découlent d'autres textes, comme l'obligation de la loi comptable danoise de conserver les documents comptables pendant 5 ans.

Une demande d'une personne visant à savoir quelles données à caractère personnel l'entreprise traite à son sujet, un droit prévu par l'article 15 du RGPD. L'entreprise doit notamment communiquer les finalités, les catégories de données, les destinataires et la durée de conservation, et fournir une copie des données. La réponse doit être donnée sans retard indu et au plus tard un mois après réception ; le délai peut être prolongé de deux mois pour les demandes complexes. La réponse est en principe gratuite pour la personne concernée.

Un canal interne par lequel les salariés et autres personnes ayant un lien professionnel peuvent signaler de manière confidentielle des violations de la loi et des faits graves, par exemple une fraude, la corruption, des violations du RGPD ou du harcèlement sexuel. Le dispositif doit disposer d'une unité impartiale chargée des signalements, qui accuse réception sous 7 jours et fournit un retour d'information sous 3 mois. L'identité du lanceur d'alerte doit être protégée, et seules les personnes en ayant besoin peuvent accéder aux dossiers. Le dispositif doit être décrit par écrit, et les salariés doivent avoir facilement accès aux informations sur son utilisation.

Les documents qu'un nouveau salarié doit recevoir et signer au début de son emploi. Le plus important est le contrat de travail : en vertu de la loi danoise de 2023 relative au justificatif d'emploi, les conditions essentielles doivent être fournies par écrit au plus tard 7 jours calendaires après le premier jour de travail, et le reste dans un délai d'un mois. S'y ajoutent généralement une déclaration de confidentialité, la politique informatique et de protection des données, la remise d'équipement, la confirmation du livret d'accueil du personnel et l'information RGPD relative au traitement des données des salariés. La signature numérique accompagnée d'un journal d'audit permet de prouver facilement que tout a été remis et accepté dans les délais.

Les catégories particulières de données à caractère personnel visées à l'article 9 du RGPD : origine raciale ou ethnique, opinions politiques, religieuses ou philosophiques, appartenance syndicale, données génétiques et biométriques, données de santé, ainsi que données relatives à la vie sexuelle ou à l'orientation sexuelle. Le traitement est en principe interdit et nécessite une exception spécifique, telle qu'un consentement explicite ou une nécessité liée au droit du travail. Les données sensibles exigent une sécurité renforcée, et en droit danois les numéros d'identification personnelle et les données relatives aux condamnations pénales sont soumis à des règles propres et distinctes. De nombreux dossiers RH et de signalement contiennent des données sensibles et doivent donc être protégés avec un soin particulier.

Les droits que le RGPD confère aux personnes dont les données sont traitées : droit à l'information, d'accès, de rectification, d'effacement (droit à l'oubli), de limitation du traitement, à la portabilité des données et d'opposition, ainsi que la protection contre les décisions purement automatisées ayant des effets significatifs. L'entreprise doit disposer de procédures permettant de répondre aux demandes dans un délai d'un mois. Ces droits ne sont pas absolus ; l'effacement peut par exemple être refusé si les données doivent être conservées en vertu de la législation comptable. Une mauvaise gestion de ces droits est l'une des causes les plus fréquentes de plaintes auprès des autorités de protection des données.

Le système numérique que les employeurs danois doivent utiliser pour déclarer les accidents du travail à l'Inspection du travail et à l'assurance accidents du travail. EASY est accessible via Virk.dk avec le MitID Erhverv de l'entreprise, et une seule déclaration est automatiquement transmise aux autorités compétentes et, le cas échéant, à l'assureur. La déclaration via EASY est obligatoire, les formulaires papier ne sont pas acceptés. Il est recommandé d'enregistrer immédiatement en interne les faits de l'accident, afin que la déclaration EASY puisse être remplie correctement dans les délais.

Le règlement européen sur l'identification électronique et les services de confiance (910/2014), qui établit des règles communes pour les signatures, cachets et horodatages électroniques dans toute l'UE. eIDAS définit trois niveaux de signature électronique (simple (SES), avancée (AES) et qualifiée (QES)) et établit qu'une signature ne peut se voir refuser sa valeur probante au seul motif qu'elle est électronique. Le règlement a été mis à jour par eIDAS 2.0, qui introduit notamment un portefeuille européen d'identité numérique. Pour les PME, eIDAS signifie que des documents tels que les contrats de travail peuvent être valablement signés numériquement.

Depuis le 1er juillet 2024, les employeurs danois doivent disposer d'un système objectif, fiable et accessible qui enregistre le temps de travail quotidien de chaque salarié. Cette obligation découle de la modification de la loi danoise sur le temps de travail mettant en œuvre la jurisprudence de la Cour de justice de l'UE, et doit permettre de vérifier le respect de la règle des 48 heures et des règles relatives aux temps de repos. Les enregistrements doivent être conservés pendant 5 ans, et les salariés doivent pouvoir accéder à leurs propres données. Les personnes dites autonomes dans l'organisation de leur travail peuvent être exemptées, mais cette exemption est étroite et doit figurer dans le contrat de travail.

Une réunion obligatoire que tout employeur danois ayant des salariés doit organiser au moins une fois par an, au cours de laquelle la direction et les salariés font le point sur le milieu de travail. L'entretien doit revenir sur l'année écoulée, fixer des objectifs et des actions pour l'année à venir, et évaluer si la coopération en matière de santé et sécurité fonctionne. Les entreprises sans AMO doivent pouvoir documenter par écrit auprès de l'Inspection du travail que l'entretien a eu lieu. Il s'articule naturellement avec le suivi de l'évaluation des risques professionnels.

Une évaluation des risques spécifique que les employeurs danois doivent réaliser lorsque des salariés travaillent avec des substances et matériaux chimiques dangereux, ou peuvent y être exposés. Elle a remplacé en 2019 les anciennes fiches d'instructions de poste et doit notamment décrire les dangers des substances, l'exposition, les mesures préventives et les exigences de formation. L'évaluation doit être écrite, tenue à jour, et les salariés doivent être informés des résultats. Les fiches de données de sécurité du fournisseur en constituent une base essentielle.

Une évaluation obligatoire du milieu de travail que tout employeur danois ayant des salariés doit réaliser au moins tous les 3 ans, et chaque fois que le travail change de manière significative. Elle comprend quatre étapes : le recensement du milieu de travail, l'évaluation des problèmes, un plan d'action écrit et le suivi. Cette obligation découle de l'article 15a de la loi danoise sur le milieu de travail, et l'Inspection du travail peut demander à la consulter lors d'un contrôle. La méthode est libre, mais le résultat doit être écrit et accessible aux salariés.

La partie de l'évaluation des risques professionnels qui porte sur le milieu de travail psychosocial : charge de travail, exigences floues, harcèlement moral, harcèlement, violence et comportements offensants. Il ne s'agit pas d'un complément facultatif, les facteurs psychosociaux doivent toujours être inclus dans l'APV au même titre que les risques physiques. Les règles ont été précisées en 2020 par le règlement danois sur le milieu de travail psychosocial. De nombreuses entreprises les recensent au moyen de questionnaires anonymes afin que les salariés osent répondre honnêtement.

Une preuve électronique que certaines données existaient à un moment précis. Dans le contexte de la signature et de la conformité, un horodatage lie l'empreinte du document à un instant donné, permettant de prouver quand le document a été signé ou enregistré. eIDAS encadre les horodatages électroniques qualifiés, délivrés par des prestataires de services de confiance agréés et bénéficiant d'une présomption d'exactitude. Des horodatages fiables sont également importants dans les journaux d'audit, par exemple pour prouver qu'une violation de données a été notifiée dans les 72 heures.

Une base juridique prévue par l'article 6, paragraphe 1, point f, du RGPD, permettant à une entreprise de traiter des données à caractère personnel ordinaires si ses intérêts légitimes prévalent sur les intérêts et droits de la personne concernée. Cette base exige une mise en balance documentée (un test d'intérêt légitime) et que le traitement soit nécessaire à la finalité poursuivie. Des exemples typiques sont le marketing direct auprès de clients existants, la sécurité informatique et l'administration interne. La personne concernée dispose toujours du droit de s'opposer à un traitement fondé sur l'intérêt légitime.

La norme internationale relative aux systèmes de management de la sécurité de l'information (SMSI). Elle exige qu'une organisation identifie systématiquement ses risques en matière de sécurité de l'information et les gère au moyen de politiques, de contrôles et d'une amélioration continue ; le catalogue des contrôles figure à l'annexe A et est développé dans la norme ISO 27002. La certification est délivrée par un organisme de certification accrédité et est volontaire, mais elle est de plus en plus demandée par les clients et dans les appels d'offres. Pour les PME, la certification complète est souvent surdimensionnée, mais les principes : évaluation des risques, contrôle d'accès, journalisation et réponse aux incidents, constituent un bon modèle pour le travail de sécurité.

Un enregistrement chronologique et inaltérable des événements survenus dans un système : qui a fait quoi, quand et depuis quelle adresse. Dans un processus de signature, le journal d'audit documente par exemple à quel moment le document a été envoyé, ouvert et signé, et comment le signataire a été identifié. Ce journal est central pour la valeur probante des signatures électroniques et pour démontrer la conformité au RGPD, par exemple qui a eu accès à des dossiers sensibles. Un bon journal d'audit ne peut être modifié a posteriori et est conservé séparément des données qu'il décrit.

L'autorité danoise de contrôle en matière de protection des données, chargée de veiller au respect du RGPD et de la loi danoise sur la protection des données. Elle traite les plaintes des citoyens, effectue des contrôles auprès des entreprises et des administrations, reçoit les notifications de violations de données et publie des lignes directrices et des modèles. Elle peut exprimer des critiques, émettre des injonctions et recommander des amendes : au Danemark, les amendes RGPD sont en principe fixées par les tribunaux à la suite d'une plainte pénale. Ses lignes directrices constituent un bon point de départ lorsqu'une PME met en place sa documentation RGPD.

L'autorité danoise chargée de surveiller le respect de la loi sur le milieu de travail par les entreprises. Elle effectue des visites de contrôle annoncées et inopinées et peut émettre des injonctions, des injonctions immédiates et des interdictions, ainsi que recommander des amendes. Lors des contrôles, elle demande généralement l'évaluation des risques professionnels, l'entretien annuel sur le milieu de travail et la documentation de l'organisation du milieu de travail. Les entreprises dont la documentation écrite est en ordre passent un contrôle beaucoup plus facilement.

La loi danoise mettant en œuvre la directive européenne sur les lanceurs d'alerte (2019/1937), en vigueur depuis décembre 2021. Elle oblige les entreprises privées comptant 50 salariés ou plus et la plupart des employeurs publics à mettre en place un dispositif interne de signalement, cette obligation s'applique aux entreprises de 50 à 249 salariés depuis le 17 décembre 2023. La loi protège les lanceurs d'alerte contre les représailles et impose la confidentialité, un accusé de réception sous 7 jours et un retour d'information sous 3 mois. Les violations peuvent entraîner des amendes et une responsabilité pour dommages et intérêts.

La règle prévue par la loi danoise sur le temps de travail selon laquelle la durée hebdomadaire moyenne de travail d'un salarié, heures supplémentaires comprises, ne doit pas dépasser 48 heures, calculée sur une période de référence de 4 mois. Cette règle découle de la directive européenne sur le temps de travail et s'applique à la quasi-totalité des salariés. Une violation peut donner droit à une indemnisation du salarié, et depuis 2024 les employeurs doivent pouvoir démontrer le respect de cette règle grâce à l'enregistrement du temps de travail. Certaines conventions collectives autorisent, sous conditions particulières, un plafond plus élevé pour des groupes déterminés.

Le délai fixé par l'article 33 du RGPD pour notifier une violation de données à l'autorité de protection des données : sans retard indu et, si possible, au plus tard 72 heures après que l'entreprise a eu connaissance de la violation. Le délai court également les week-ends et jours fériés. En cas de dépassement, la notification doit expliquer le retard. Si l'entreprise ne dispose pas de toutes les informations dans le délai, la notification peut être faite par étapes, l'essentiel étant de signaler à temps ce que l'on sait.

La description consolidée par l'entreprise des règles, politiques et aspects pratiques concernant les salariés, par exemple le temps de travail, les arrêts maladie, les congés, la politique informatique et de protection des données, la politique en matière de substances et les lignes directrices contre les comportements offensants. Le livret n'est pas légalement obligatoire, mais il rassemble une documentation exigée par d'autres règles et clarifie ce qui s'applique. Les dispositions du livret peuvent avoir des effets en droit du travail, de sorte que les modifications substantielles doivent être dûment notifiées. Une bonne pratique consiste à faire confirmer numériquement par les salariés qu'ils ont lu la version en vigueur.

L'identité numérique nationale du Danemark, qui a remplacé NemID et sert à se connecter aux services publics, aux banques et aux services privés. MitID est notifié au titre d'eIDAS et peut être utilisé pour identifier le signataire dans un processus de signature électronique, ce qui élève la signature au niveau avancé (AES). Les entreprises utilisent MitID Erhverv pour agir au nom de l'entreprise, par exemple dans EASY et sur Virk.dk. Lors de la signature d'un document, une connexion via MitID constitue une preuve solide de l'identité du signataire.

La directive européenne sur la cybersécurité (2022/2555), qui renforce les exigences de sécurité des réseaux et systèmes d'information pour les entités essentielles et importantes dans de nombreux secteurs : tels que l'énergie, les transports, la santé, les infrastructures numériques et l'alimentation. Les entreprises concernées doivent mettre en place une gestion des risques, traiter la sécurité de la chaîne d'approvisionnement et signaler les incidents significatifs aux autorités, sous peine d'amendes substantielles en cas de non-conformité ; la direction peut être tenue personnellement responsable. NIS2 s'applique généralement aux moyennes et grandes entreprises des secteurs concernés, mais touche aussi indirectement des fournisseurs plus petits par le biais des exigences de leurs clients. Au Danemark, la directive a été transposée par une loi entrée en vigueur le 1er juillet 2025.

Le plan écrit inclus dans l'évaluation des risques professionnels décrivant comment l'entreprise résoudra les problèmes révélés par le recensement. Pour chaque problème, le plan doit préciser ce qui doit être fait, qui en est responsable, et à quelle échéance il doit être résolu. Le plan d'action est une obligation légale, une évaluation des risques sans plan d'action est incomplète. Un suivi est en outre requis, afin que l'entreprise puisse démontrer que les mesures ont réellement été mises en œuvre et qu'elles fonctionnent.

Un événement qui aurait pu provoquer un accident du travail mais où personne n'a été blessé, par exemple un outil tombant juste à côté d'un salarié, ou un glissement qui n'entraîne pas de chute. Les presqu'accidents n'ont pas à être signalés aux autorités, mais ils constituent l'un des outils les plus précieux de la prévention. En les enregistrant et en les analysant systématiquement, une entreprise peut éliminer les risques avant qu'ils ne provoquent un véritable accident. Les tendances observées dans les presqu'accidents doivent être intégrées à l'évaluation des risques professionnels.

Le niveau de signature le plus élevé prévu par eIDAS : une signature électronique avancée créée à l'aide d'un dispositif qualifié de création de signature électronique et reposant sur un certificat qualifié délivré par un prestataire de services de confiance agréé. Une QES a, dans toute l'UE, la même valeur juridique qu'une signature manuscrite et est reconnue entre les États membres. Elle n'est requise que dans des cas particuliers où la loi impose des exigences de forme, pour les accords commerciaux ordinaires, une AES ou une SES suffit généralement. En contrepartie, la charge de la preuve est en pratique inversée : avec une QES, c'est la partie qui conteste la signature qui doit prouver qu'elle n'est pas authentique.

Le registre des activités de traitement que l'article 30 du RGPD impose aux responsables du traitement et aux sous-traitants de tenir. Il doit notamment décrire les finalités du traitement, les catégories de personnes concernées et de données, les destinataires, les éventuels transferts vers des pays tiers, les délais de conservation et les mesures de sécurité. Il doit être écrit, tenu à jour, et pouvoir être communiqué à l'autorité de protection des données sur demande. L'exception prévue pour les entreprises de moins de 250 salariés est étroite, de sorte qu'en pratique presque toutes les entreprises devraient tenir un registre.

Tout traitement défavorable subi par un lanceur d'alerte à la suite d'un signalement, par exemple un licenciement, une rétrogradation, du harcèlement, des missions dégradées ou une exclusion d'une promotion. La loi sur les lanceurs d'alerte interdit les représailles, et les menaces et tentatives de représailles sont également illégales. Si un lanceur d'alerte subit néanmoins des représailles, il a droit à une indemnisation, et la charge de la preuve peut être inversée, obligeant l'employeur à démontrer que le traitement n'était pas lié au signalement. La protection s'applique lorsque le lanceur d'alerte croyait de bonne foi à l'exactitude des informations.

L'entreprise, l'autorité ou la personne qui détermine les finalités et les moyens du traitement des données à caractère personnel. Le responsable du traitement porte la responsabilité principale de la conformité au RGPD : base juridique, obligations d'information, sécurité, documentation et droits des personnes concernées. Un employeur est par exemple responsable du traitement des données RH de ses salariés. Si le responsable du traitement fait appel à des prestataires pour le traitement, des contrats de sous-traitance doivent être conclus avec eux.

Le règlement européen sur la protection des données à caractère personnel, applicable depuis le 25 mai 2018 et complété au Danemark par la loi danoise sur la protection des données. Le RGPD fixe des exigences quant à la manière dont les entreprises collectent, utilisent, conservent et suppriment les données à caractère personnel, et confère aux personnes concernées un ensemble de droits. Les entreprises doivent pouvoir démontrer leur conformité, le principe dit de responsabilité. Les violations peuvent être sanctionnées par des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.

Le niveau de signature le plus élémentaire prévu par eIDAS : des données sous forme électronique, jointes à d'autres données électroniques, et utilisées par le signataire pour signer, par exemple un nom saisi au bas d'un e-mail, l'image numérisée d'une signature ou un clic sur un bouton d'acceptation. Une SES est juridiquement valable pour la grande majorité des accords au Danemark, où la liberté de forme s'applique. Sa valeur probante dépend toutefois de la capacité à démontrer qui a signé et que le document n'a pas été modifié. C'est pourquoi une SES est considérablement renforcée par un journal d'audit et une empreinte cryptographique du document.

Une empreinte cryptographique d'un document, calculée à l'aide d'une fonction de hachage telle que SHA-256. La moindre modification du document (un seul caractère) produit une empreinte totalement différente, et il est pratiquement impossible de construire un autre document ayant la même empreinte. Lors de la signature électronique d'un document, son empreinte est enregistrée afin de pouvoir prouver ultérieurement que le document signé n'a pas été altéré. L'empreinte ne révèle rien du contenu du document et peut donc être partagée librement comme preuve d'intégrité.

Une entreprise ou une personne qui traite des données à caractère personnel pour le compte d'un responsable du traitement et selon ses instructions, par exemple un fournisseur de cloud, un cabinet de paie ou un système RH. Le sous-traitant ne peut pas utiliser les données à ses propres fins et doit satisfaire aux exigences du RGPD en matière de sécurité et de confidentialité. La relation doit être régie par un contrat de sous-traitance écrit. Si le sous-traitant fait appel à des sous-traitants ultérieurs, l'autorisation du responsable du traitement est requise.

Le transfert de données à caractère personnel vers des pays situés hors de l'UE/EEE, par exemple lorsqu'une entreprise utilise un service cloud américain. Le transfert nécessite un mécanisme de transfert valide au titre du chapitre V du RGPD : une décision d'adéquation de la Commission européenne (comme le cadre de protection des données UE-États-Unis), des clauses contractuelles types (CCT) ou des règles d'entreprise contraignantes. À la suite de l'arrêt Schrems II, l'entreprise doit en outre évaluer si le niveau de protection dans le pays destinataire est réellement adéquat. Les transferts vers des pays tiers doivent figurer dans le registre de l'article 30 et dans la politique de confidentialité.

Un incident de sécurité entraînant la destruction, la perte, l'altération ou l'accès non autorisé, accidentel ou illicite, à des données à caractère personnel, par exemple un e-mail envoyé au mauvais destinataire, un ordinateur portable perdu ou une cyberattaque. Une violation doit en principe être notifiée à l'autorité de protection des données dans les 72 heures, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes concernées. En cas de risque élevé, les personnes concernées doivent également être informées. Toute violation, y compris celles qui ne sont pas notifiées, doit être documentée dans un registre interne.